Questions fréquentes
Quelles sont les 6 étapes d'une méthodologie TPRM ?
Cartographier les tiers, les trier par criticité (tiering), mener la due diligence (questionnaire, preuves, notation), contractualiser les engagements, surveiller en continu, puis sortir proprement de la relation en fin de contrat.
Combien de temps prend une évaluation Tier 1 ?
Entre 4 et 8 semaines en moyenne : 1 semaine de préparation, 2-3 semaines pour la collecte (questionnaire + documents), 1-2 semaines pour l'analyse, 1 semaine pour l'arbitrage et la contractualisation. Une organisation outillée descend à 2-3 semaines.
Faut-il auditer chaque fournisseur sur site ?
Non. L'audit sur site est réservé aux Tier 1 critiques (hébergeur, infogérant, prestataire santé) et aux situations de doute. Pour la majorité, une analyse documentaire bien menée suffit, éventuellement accélérée par un scan RGPD des sources publiques.
La méthodologie TPRM diffère-t-elle d'un audit RGPD fournisseur ?
Le TPRM est plus large : il couvre le risque cyber, financier, opérationnel et réputationnel, pas seulement la protection des données. L'audit RGPD fournisseur au sens de l'article 28 en est un sous-ensemble, intégré à l'étape de due diligence.